Google ontmantelt XCPE-botnet met 1,3 miljoen Android-tv-boxen

Google en partners ontmantelden vorige week de XCPE-backdoor, die meer dan 1,3 miljoen Android-settopboxen wereldwijd in een botnet had opgenomen; Google schrijft de opzet toe aan fabrikant Videostrong.

Een aangesloten tv-box kan ongemerkt verkeer van derden via het publieke IP-adres van een kantoor, winkel of ontvangstruimte doorsturen. De praktische inzet zit daarom al bij inkoop en netwerkbeheer: als merk, firmware en locatie van zo’n apparaat ontbreken in de inventaris, blijft het buiten patch- en isolatiebeleid.

De backdoor zat in de firmware

Google beschrijft x.cpe als een systeemcomponent in de firmware van Android TV-apparaten. In sommige builds draait de app als com.oemservice met android.uid.system-rechten. Verwijdert een gebruiker de app, dan kan een kopie in de /oem/-partitie na een herstart opnieuw worden geïnstalleerd. Een gewone appverwijdering ruimt de backdoor dus niet op.

Een tweede component, com.abc.nexus, laadt modules voor advertentiefraude, residentiële proxy’s en extra backdoors. De box haalt via een MQTT-verbinding nieuwe instructies op. Google beschrijft opdrachten voor stille app-installaties, shellcommando’s, schermafbeeldingen en netwerkverkenning. Een tv-box kan zo tegelijk verkeer van derden doorsturen en opdrachten op afstand uitvoeren.

De code zat in firmware die Videostrong leverde. Google zegt dat Videostrong de schadelijke code verhulde en pas na de eerste start activeerde, waardoor die de bestaande compatibiliteits- en veiligheidstests omzeilde. Google heeft Videostrong en toekomstige dochterbedrijven en gelieerde bedrijven uitgesloten van het bouwen of verkopen van gecertificeerde Android-apparaten en van softwarelevering aan andere gecertificeerde fabrikanten. Ook paste het bedrijf zijn controle op firmware-integriteit aan.

De telling verschilt per meting

TrendAI telde tussen juni en oktober 2026 1.472.554 besmette apparaten over 206 modellen en meer dan 170 landen. De partners zagen verschillende momentopnamen en hadden niet hetzelfde zicht op apparaten. Op circa 1,33 miljoen apparaten waren modules voor proxyverkeer en advertentiefraude ingepland.

TrendAI telde in dezelfde vier maanden ook meer dan 3,8 miljoen unieke thuis- en mobiele IP-adressen. Dat is een netwerkmeting over de looptijd van de operatie, naast het aantal besmette apparaten. Het ene getal betreft unieke IP-adressen over de meetperiode; het andere telt besmette apparaten.

De meeste besmette apparaten waren Android TV-settopboxen. Google zag daarnaast andere Android-apparaten voor telezorg, karaokemachines en digitale informatieborden. De Google-publicatie noemt geen verkoopmerken of concrete typenummers. TrendAI noemt 206 modellen, maar geeft in het artikel geen lijst waarmee een organisatie een kastje op basis van de naam op de doos kan controleren.

Proxykanalen verbinden eerdere operaties

XCPE was ook een distributielaag voor aanbieders die de besmette apparaten verder konden inzetten. Google noemt Linkfog, AppSalt en NetNut als proxy’s die via modules op de boxen konden draaien, en noemt CBOXTV en HiddenView bij advertentiefraude. Moyu en Spirit konden extra backdoors laden. De leverancier verkocht toegang aan zulke affiliates in plaats van elke module zelf te hoeven bouwen.

Google zegt dat juridische acties ook command-and-controldomeinen van meer dan een dozijn malwarefamilies hebben geraakt. Omdat die affiliates hun modules via andere kanalen verspreiden, verwacht Google dat de actie toegang tot minstens 10 miljoen aanvullende gecompromitteerde apparaten afsnijdt. Dat is een schatting over de bredere affiliate-infrastructuur naast de settopboxen die rechtstreeks in XCPE waren opgenomen.

Google noemt NetNut als een proxydienst waarvoor XCPE-modules besmette boxen als proxy-uitgangspunt gebruikten. De eerdere Google-FBI-actie betrof een afzonderlijk NetNut-netwerk dat via meer dan twee miljoen gekaapte Android-apparaten, smart-tv’s en streamingboxen verkeer doorstuurde. De overlap zit in het gebruik van apparaten als residentiële proxy; de ontmanteling van dat netwerk was een andere operatie.

De fabrieksroute kwam ook naar voren bij een aparte campagne: in juli bleek de H96 Max-tv-stick met een root-backdoor uit de fabriek ook bij Nederlandse webwinkels te koop. TrendAI plaatst XCPE in hetzelfde ecosysteem als BADBOX 2.0, dat in maart 2025 werd verstoord. Bij beide onderzoeken spelen vooraf ingebouwde software en een keten van externe modules een rol.

Google grijpt in bij firmware en certificering

Google zette juridische stappen om de domeinen en servers waarmee Videostrong het botnet bestuurde offline te halen en om command-and-controldomeinen van affiliate-malware uit te schakelen. Het sloot Videostrong uit van zijn certificeringsketen. De fabrikant gebruikte volgens Google verhulling om schadelijke code pas na de eerste start te activeren. De aanpassing van de firmwarecontrole richt zich op die specifieke testomzeiling.

De openbare aankondiging bevat geen lijst met getroffen winkelmerken of typenummers, geen aantallen per land en geen apparaat-voor-apparaatstatus na de takedown. Google beschrijft het uitschakelen van infrastructuur en aanpassingen aan keuringen, maar publiceert geen telling van apparaten waarvan de firmware is opgeschoond. TrendAI schrijft dat de implant een systeemapp is die met de sleutel van de fabrikant is ondertekend; eigenaars kunnen die niet zelf verwijderen en herstel vraagt actie van de leverancier, platformbeveiliging of vervanging van het apparaat.

NetNut liet zien hoe gekaapte huiskamertoestellen verkeer via gewone IP-adressen laten lopen; XCPE legt de ingang al bij de fabrikant en de firmware. De gemeenschappelijke factor is een apparaat dat weinig beheer vraagt, maar wel netwerktoegang en uitgaand verkeer heeft. Een apparateninventaris hoort daarom ook de Android-boxen en andere IoT-apparaten te bevatten die niet op de laptoplijst staan. Onbekende modellen of firmware horen op een apart netwerksegment tot leverancier en beheerstaat zijn vastgesteld.